डोमेन नियंत्रक पर उपयोगकर्ता हमेशा डोमेन का हिस्सा क्यों बनाया जाता है?

Question

डोमेन नियंत्रक पर उपयोगकर्ता हमेशा डोमेन का हिस्सा क्यों बनाया जाता है?

जब मैं डोमेन नियंत्रक पर एक स्थानीय उपयोगकर्ता बनाना चाहता हूं net user <username> <password> /add, तो मुझे पता चलता है कि उपयोगकर्ता स्वचालित रूप से Domain Usersसमूह में शामिल है ।

मैं डोमेन नियंत्रक पर एक स्थानीय व्यवस्थापक खाता बनाना चाहता हूं, डोमेन का हिस्सा नहीं, जो कि डोमेन नियंत्रक पर अंतःक्रियात्मक रूप से लॉग ऑन करने और प्रशासनिक कार्यों को करने में सक्षम है।

क्या यह संभव है?

Comments

यह संभव नहीं है।

— जोवेवर्टी

Answer 1

स्थानीय खातों को एसएएम डेटाबेस नामक एक फ़ाइल में संग्रहीत किया जाता है । यह एक डोमेन कंट्रोलर पर मौजूद है - यदि आप एक डोमेन कंट्रोलर को रिस्टोर मोड में बूट करते हैं तो ऐसा करने के लिए आप जिस अकाउंट का उपयोग करते हैं वह एसएएम डेटाबेस में सिर्फ लोकल एडमिनिस्ट्रेटर अकाउंट है। हालाँकि, जब Windows सामान्य रूप से एसएएम डेटाबेस तक पहुंच रहा है, तो यह अक्षम है और इसमें कोई भी खाता उपयोग नहीं किया जा सकता है। इसका मतलब है कि डोमेन नियंत्रक पर स्थानीय खाते के साथ लॉग इन करना असंभव है।

हालाँकि, यह तब हो सकता है जब आप कमांड लाइन से काम करने में खुश हों और आपको नेटवर्क एक्सेस की आवश्यकता न हो। चाल को स्थानीय सिस्टम खाते के रूप में लॉग ऑन करना है। विंडोज ऐसा करने का कोई तरीका प्रदान नहीं करता है, लेकिन मैंने इसे एक सरल टेलनेट सर्वर लिखकर फिर इसे स्थानीय सिस्टम खाते का उपयोग करके सेवा के रूप में चलाया है। जब आप टेलनेट सर्वर से जुड़ते हैं तो आप सिस्टम खाते के रूप में लॉग इन होते हैं न कि डोमेन अकाउंट। केवल प्रतिबंध यह है कि यह केवल कमांड लाइन है और सिस्टम खाते में कोई नेटवर्क एक्सेस नहीं है। यदि आप इस तरह से एक हैक का उपयोग करने जा रहे हैं, तो सुरक्षा के बारे में बहुत सावधान रहें!

हालांकि यह सब एक भयानक हैक की तरह लगता है लेकिन इसके वैध उपयोग हैं। उदाहरण के लिए काम पर हम एन-सक्षम नामक एक प्रबंधन उपकरण का उपयोग करते हैं जो सर्वर पर कंसोल तक दूरस्थ पहुंच की अनुमति देता है, और यह मूल रूप से ऊपर वर्णित तकनीक का उपयोग करके करता है। यदि मैं अपने किसी डोमेन कंट्रोलर पर कंसोल खोलता हूं और मेरे द्वारा प्राप्त हूमी कमांड का उपयोग करता है :

पाद लेख

विंडोज के पास रिमोट कमांड प्रॉम्प्ट खोलने के लिए कोई विधि नहीं है, लेकिन जैसा कि एक टिप्पणी में तीक्ष्णता का उल्लेख है SysInternals psexec उपयोगिता यह कर सकती है, और SysInternals उपयोगिताओं Microsoft द्वारा प्रदान और समर्थित हैं इसलिए यह कम से कम अर्ध आधिकारिक है। मेरे द्वारा प्राप्त किए जाने वाले मेरे एक सर्वर पर psexec का उपयोग करना:

D:\temp\psexec>psexec64 \\cheddar -s cmd.exe

PsExec v2.2 - Execute processes remotely
Copyright (C) 2001-2016 Mark Russinovich
Sysinternals - www.sysinternals.com


Microsoft Windows [Version 10.0.17134.345]
(c) 2018 Microsoft Corporation. All rights reserved.

C:\Windows\system32>whoami
nt authority\system

C:\Windows\system32>exit
cmd.exe exited on cheddar with error code 0.

Comments

क्या आपने SysInternals psexec -s को फिर से बनाया है ?

— user1686

@ पहले मैंने Windows NT 3.1 पर Sysinternals उपयोगिताओं के अस्तित्व में आने से पहले ऐसा किया था :-) हालाँकि आप एक अच्छी बात करते हैं। मैं भूल गया कि psexec ऐसा कर सकता है।

— जॉन रेनी

मुद्दा लेना। हालांकि उम्मीद है कि मूल "वाइड ओपन" टेलनेट अब उपयोग में नहीं है?

— user1686

Answer 2

नहीं, यह संभव नहीं है। डोमेन नियंत्रकों का अपना प्रमाणीकरण डेटाबेस नहीं है। जब एक डोमेन नियंत्रक को बढ़ावा दिया जाता है तो इसे सक्रिय निर्देशिका द्वारा बदल दिया जाता है।

Comments

यह जवाब "क्या यह संभव है?" प्रश्न निकाय से, लेकिन शीर्षक से "क्यों" का उत्तर नहीं देता है। "क्यों" भाग पर कोई अपमान?

— मोलॉट

Domain controllers don't have their own authentication database. It is replaced by Active Directory when promoted to a Domain Controllerऐसा क्यों है। तो यह क्यों जवाब देता है।

— जोकवेर्टी ऑक्ट

@peterh केवल Microsoft यह जान सकते हैं कि उन्होंने इसे इस तरह क्यों डिज़ाइन किया है, लेकिन मुझे संदेह है कि वे जानते हैं। मेरे हैंडओवर के दौरान, अधिकांश "क्यों" सवालों का जवाब मुझे "मैं किया था क्योंकि यह पहली बात थी जो दिमाग में आया था, और यह काम किया, और उसके बाद, एक रनिंग सिस्टम को कभी नहीं बदलें।"

— अलेक्जेंडर

ईमानदारी से, अगर सवाल "Microsoft ने इसे इस तरह से डिजाइन क्यों किया?" सवाल है, मैं VTC था। कोई भी उत्तर जो हम प्रदान करेंगे, वह शुद्ध अटकलें होंगी (जब तक कि किसी ने उस परियोजना पर एमएस सरका 1999-ईश पर काम नहीं किया हो?)।

— कैथरीन वेलियार्ड

मैं तब विंडोज सर्वर के लिए एक एमएस एमवीपी था और "एनटी 5" बीटा टीम के साथ कुछ सामान किया था और कुछ बैठकों में गया था जहां डिजाइन निर्णयों पर चर्चा की गई थी। तब तर्क यह था कि डोमेन नियंत्रक पर "स्थानीय" व्यवस्थापक कार्रवाई के रूप में वास्तव में ऐसी कोई चीज नहीं थी क्योंकि कुछ भी डोमेन को प्रभावित करने की क्षमता थी। डीसी को रिबूट करना चाहते हैं? एक भूमिका जोड़ना या हटाना चाहते हैं? नेटवर्क कार्ड पर DNS सेटिंग्स बदलना चाहते हैं? सभी संभावित रूप से उस डीसी की क्षमता को प्रभावित करने में सक्षम हैं जो यह डोमेन है और इसलिए वास्तव में डीसी पर "स्थानीय व्यवस्थापक" कार्रवाई नहीं है।

— रोब मोइर